【正文】 生產(chǎn)區(qū)，外聯(lián)區(qū)，接入?yún)^(qū)和 MIS 區(qū)等功能分區(qū)，并針對各個功能不同的業(yè)務(wù)應(yīng)用需求和安全要求進行了針對性設(shè)計。統(tǒng)一性數(shù)據(jù)中心局域網(wǎng)是基于大集中“一個整體”基礎(chǔ)上考慮。廣域接入?yún)^(qū)設(shè)置一個單獨的物理分區(qū)，提供各個一級分行的流量接入和匯聚。連接方式：匯聚層設(shè)備之間通過兩條冗余的千兆線路實現(xiàn)互連，同時，各自通過兩條千兆冗余線路分別上行到兩臺核心交換層交換機。 設(shè)備選型推薦針對數(shù)據(jù)中心建設(shè)的統(tǒng)一性原則，針對數(shù)據(jù)中心盡量采用相同的設(shè)備進行配置，從而保證數(shù)據(jù)中心整體的易維護和易擴展。Quidway174。Quidway 174。 AR 28AR 2880 模塊化中心路由器是華為 3Com 公司 Quidway174。? IPV6：從目前的硬件體系結(jié)構(gòu)和軟件平臺的基礎(chǔ)上能夠平滑升級到IPV6的軟件版本, 全面支持IPv4和IPv6雙協(xié)議棧，提供豐富的IPV6協(xié)議，支持多種IPv4向IPv6的過渡技術(shù)：手工配置隧道、自動配置隧道、6to4隧道、GRE隧道、實現(xiàn)NATPT等；支持IPv6靜態(tài)路由，支持BGP4/BGP4+、RIPng、OSPFISISv6等動態(tài)路由協(xié)議；支持ICMPv6 MIB、UDP6 MIB、TCP6 MIB、IPv6 MIB等。針對單機多 VLAN 方式單機應(yīng)用一般數(shù)據(jù)次關(guān)鍵應(yīng)用，以部分業(yè)務(wù)的前置服務(wù)器為主。對 GVRP 特性的支持使得不同交換機上的 VLAN 信息可以由協(xié)議動態(tài)維護和更新，只需要對少數(shù)交換機進行 VLAN 配置，就可以應(yīng)用到整個交換網(wǎng)絡(luò)，無需耗費大量時間進行拓撲分析和配置管理，協(xié)議會自動根據(jù)網(wǎng)絡(luò)中 VLAN 的配置情況，動態(tài)地傳播 VLAN 信息并配置在相應(yīng)的端口上。這個格式是統(tǒng)一標識 VLAN 的方法，有利于保證不同廠家設(shè)備配置的 VLAN 可以互通。為保證可靠性至少選擇在 2臺接入交換機上均做相同的 VLAN 和端口配置，實現(xiàn)端口 1+1 冗余，即保證單一接入設(shè)備可以承載全部主機連接，在工作時并將多主機同一業(yè)務(wù)對應(yīng)端口接入相同 VLAN 中（根據(jù)切換方式不同可選擇同一交換機或不同交換機） 。? 網(wǎng)絡(luò)協(xié)議：DHCP、VLAN、IPX 、DLSw 、RIP1/RIP2 、OSPF、BGP、策略路由、組播、路由負載分擔、地址借用、TCP 報文頭壓縮、路由策略。 S8500 系列產(chǎn)品通過靈活的 MAC、IP 、VLAN 、PORT 任意組合綁定，有效的防止非法用戶訪問網(wǎng)絡(luò)。 S8500 的新一代萬兆以太網(wǎng)不僅在接口密度上達到 2 端口/ 線卡（后續(xù)可擴展至 4 端口/線卡） ，并且可以支持線速的 MPLS 轉(zhuǎn)發(fā)，可以提供更好的 IP VPN 業(yè)務(wù)和透明的 LAN 服務(wù)，真正實現(xiàn)性能與功能的完美統(tǒng)一。Quidway 174。連接方式：匯聚層設(shè)備之間通過兩條冗余的千兆線路實現(xiàn)互連，同時，各自通過兩條千兆冗余線路分別上行到兩臺核心交換層交換機。 13 運行管理區(qū)運 行 管 理 區(qū) 網(wǎng) 絡(luò) 結(jié) 構(gòu)核 心 交 換 區(qū)核 心 交 換 層匯 聚 層接 入 層運 行 管 理 區(qū) 環(huán) 境運行管理區(qū)是生產(chǎn)中心主要的人員操作區(qū)，主要以各種管理配置平臺為主。 上海全國數(shù)據(jù)中心局域網(wǎng)拓樸在數(shù)據(jù)中心的實際部署中，針對數(shù)據(jù)中心模型進一步細分各個功能分區(qū)。 6第 2 章 概述針對上海數(shù)據(jù)生產(chǎn)中心穩(wěn)定、可靠、高效運行的要求，本方案以高可靠性，高安全性和先進性為原則進行了重點設(shè)計。全網(wǎng)采用統(tǒng)一的架構(gòu)、策略部署，QoS 分類和設(shè)備形態(tài)，保證全網(wǎng)的可維護性。災(zāi)備接入?yún)^(qū)設(shè)置一個單獨的物理分區(qū)，部署與北京災(zāi)備中心的連接和災(zāi)備策略的部署。在匯聚交換機側(cè)支持部署防火墻和入侵檢測設(shè)備，采用訪問控制和安全聯(lián)動相結(jié)合的方式對接入流量進行安全防護。針對數(shù)據(jù)中心大量服務(wù)器采用千兆接入，要求高效傳輸?shù)奶攸c，在骨干層和匯聚層間，以及部分匯聚和接入層間采用萬兆連接，減少千兆捆綁帶來的復(fù)雜配置，同時支持業(yè)務(wù)未來3－5 年的快速增長。 S8500 系列產(chǎn)品采用高性能的最長匹配、逐包轉(zhuǎn)發(fā)的方式，在保持線速性能和低成本的基礎(chǔ)上，革命性的解決了傳統(tǒng)交換機流 Cache 精確匹配轉(zhuǎn)發(fā)的致命缺陷，能夠有效的抗擊網(wǎng)絡(luò)“紅色代碼” 、 “沖擊波”等病毒的攻擊，更加適合大規(guī)模、多業(yè)務(wù)，復(fù)雜流量訪問的網(wǎng)絡(luò)。 S8500 系列產(chǎn)品采用功能強大的ASIC 芯片實現(xiàn) MPLS、IPv6 的分布式線速轉(zhuǎn)發(fā)，并能夠基于高性能 NP 實現(xiàn)線速NAT、WebSwitch 等增值業(yè)務(wù)，在為用戶提供全面的有保障業(yè)務(wù)的同時，也做到根據(jù)需求業(yè)務(wù)可裁減。 AR 系列路由器中面向企業(yè)用戶的網(wǎng)絡(luò)產(chǎn)品，采用 32 位的微處理器技術(shù)，使用 VRP（通用路由平臺），提供了極其豐富的軟件特性，支持啞終端接入服務(wù)器和金融 POS 接入功能，支持SNA/DLSw、 VoIP 特性等，提供豐富的備份方案及 QoS 特性；硬件采用模塊化結(jié)構(gòu)，具有更高的處理能力和更大的接入密度，具備 MPLS VPN 功能、DVPN 功能、可平滑升級支持IPv6 符合未來 IP 技術(shù)的發(fā)展潮流。? 配置管理：中英文雙語、命令分級保護、tracert/ping/debugging 故障診斷功能、RMON、SNMPv1/v2c/v系統(tǒng)日志、可通過 FTP 或 TFTP 進行系統(tǒng)升級、可通過Console/AUX/ PAD/Tel/反向 Tel 等方式進行配置。針對單機多網(wǎng)卡多 VLAN方式，也考慮將多 VLAN 在 2 臺接入交換機上部署，實現(xiàn) VLAN 端口 1+1 冗余。根據(jù) VLAN 注冊信息，交換機了解到干道鏈路對端有哪些 VLAN，自動配置干道鏈路，只允許對端交換機需要的 VLAN 在干道鏈路上傳輸。 定義了 VLAN 幀格式，為識別幀屬于哪個 VLAN 提供了一個標準的方法。針對多主機多 VLAN 的方式這類主機部署的應(yīng)用屬于重要應(yīng)用，以核心業(yè)務(wù)應(yīng)用為主。? 互連協(xié)議：以太網(wǎng)、橋、幀中繼、HDLC、SDLC、LAPB、SLIP、PPP、PPP 頭壓縮、MP、ISDN、PPPoE Client、按需撥號、撥號串循環(huán)備份、 PPP/ISDN 回呼、L2TP 建立二層隧道、GRE 建立三層隧道、IPSEC 建立三層隧道、 xDSL 寬帶接入。Quidway174。Quidway 174。 S8500 系列支持新一代高性能萬兆接口，能夠為城域網(wǎng)、園區(qū)網(wǎng)、數(shù)據(jù)中心提供超高速鏈路，構(gòu)建端到端以太網(wǎng)絡(luò)，打造低成本、高性能、具有豐富業(yè)務(wù)支持能力的高性能網(wǎng)絡(luò)。在外聯(lián)網(wǎng)接入和 DMZ 與匯聚層連接處部署高可用防火墻，并部署 IDS 設(shè)備實現(xiàn)安全聯(lián)動。連接方式：四臺接入層交換設(shè)備通過四條千兆線路上聯(lián)到匯聚層，兩臺匯聚層設(shè)備之間通過兩條冗余的千兆線路實現(xiàn)互連，同時，各自通過兩條千兆冗余線路分別上行到兩臺核心交換層交換機。網(wǎng)絡(luò)的交換核心、廣域接入?yún)^(qū)等沒有主機接入的功能區(qū)域放置于網(wǎng)絡(luò)機房。為用戶提供最完善的服務(wù)是華為 3Com 技術(shù)有限公司的一貫宗旨，有關(guān)本方案的一切問題，歡迎用戶在隨時垂詢。開放性本方案網(wǎng)絡(luò)建設(shè)全面遵循業(yè)界標準，所推薦采用的設(shè)備、技術(shù)在互通性和互操作性上，可以支持本網(wǎng)絡(luò)系統(tǒng)的快速布署。MIS 服務(wù)區(qū)設(shè)置一個單獨的物理分區(qū)，提供 MIS 業(yè)務(wù)應(yīng)用的服務(wù)。 （ 關(guān)于安全聯(lián)動的詳細介紹請參閱第十一章：網(wǎng)絡(luò)安全相關(guān)內(nèi)容） OA 接入控制區(qū)OA 接入控制區(qū)是生產(chǎn)區(qū)和 OA 用戶及 OA 服務(wù)器所在功能區(qū)的隔離區(qū)，OA 用戶通過此區(qū)訪問生產(chǎn)的相關(guān)資源。對于生產(chǎn)外聯(lián)區(qū)，考慮到需要有大量的防火墻隔離，受制于外聯(lián)廣域網(wǎng)的限制，接入層和匯聚層之間采用千兆連接。2) 大容量、高密度線速交換Quidway174。6) 完善的QoS 機制Quidway174。Quidway 174。通過Quidview網(wǎng)管軟件，能夠?qū)β酚善鬟M行遠程配置，并且能夠?qū)χ鳈C程序通過Quidview進行在線升級。工作時將主機不同端口分別連接到不同交換機的對應(yīng) VLAN 端口。GVRP 注冊類型 功能Normal 允許在該端口手工或動態(tài)創(chuàng)建、注冊和注銷 VLAN；Fixed 允許手工創(chuàng)建和注冊 VLAN，并且防止 VLAN 的注銷和在其它 Trunk 端口注冊此端口所知的動態(tài) VLAN。 是虛擬局域網(wǎng)的正式標準，定義了同一個物理鏈路上承載多個子網(wǎng)的數(shù)據(jù)流的方法。因此針對群集和 HA 應(yīng)用還有多 VLAN 的方式和同一 VLAN 的方式。? 網(wǎng)絡(luò)安全：登錄用戶認證、RADIUS/HTACACS 認證/計費、IPSEC、IKE 、硬件加密卡、防火墻支持（對接口/時間段/MAC 地址的過濾） 、CA 認證（數(shù)字證書 ） 、高性能 NAT。 S8500 系列產(chǎn)品的先進的逐包轉(zhuǎn)發(fā)機制確保其在各種數(shù)據(jù)流狀況下的設(shè)備安全，支持 OSPF 、RIP v2 及 BGP v4 報文的明文及 MD5 密文認證；支持URPF（單播反向路徑檢查） ；采用 方式對接入用戶進行認證，支持安全的SNMPv3 的網(wǎng)管協(xié)議、支持配置安全，對登錄用戶進行認證，不同級別的用戶有不同的配置權(quán)限，并提供兩種用戶認證方式：本地認證和 RADIUS 認證。 S8500 系列產(chǎn)品提供的新一代萬兆以太網(wǎng)克服了早期萬兆以太網(wǎng)的諸多局限，在線速轉(zhuǎn)發(fā)的基礎(chǔ)上能夠提供強大的 QoS 保障，并支持豐富的 ACL、策略路由、安全等特性。Quidway 174。合作伙伴接入?yún)^(qū)域接入平臺：由 2 臺 DMZ 區(qū)接入交換機構(gòu)成。生產(chǎn)區(qū)開放平臺：由 2 臺匯聚層交換機和 4 臺接入層交換機構(gòu)成，接入層交接機連接開放平臺。 10 物理部署設(shè)計上海數(shù)據(jù)中心的核心網(wǎng)絡(luò)主要分布在上海園區(qū)的 E2 樓的各層，因此網(wǎng)絡(luò)將按照就近接入的原則將各個功能區(qū)網(wǎng)絡(luò)設(shè)備與應(yīng)用主機就近放置分布在各個樓層。華為 3Com 公司深刻認識到數(shù)據(jù)中心建設(shè)對于大集中項目以及中國 XX 銀行發(fā)展的重要性，針對數(shù)據(jù)中心承載多種業(yè)務(wù)應(yīng)用的特點，按照高可靠、高安全和先進性的原則對網(wǎng)絡(luò)整體結(jié)構(gòu)和各個功能分區(qū)進行了詳細的網(wǎng)絡(luò)方案設(shè)計。 8第 4 章 總體架構(gòu)設(shè)計 結(jié)構(gòu)設(shè)計 結(jié)構(gòu)設(shè)計策略按照數(shù)據(jù)中心的結(jié)構(gòu)，本方案采用以下策略設(shè)計高可靠的設(shè)計思想融合在結(jié)構(gòu)設(shè)計、路由設(shè)計、應(yīng)用服務(wù)設(shè)計的各個層面；針對業(yè)務(wù)網(wǎng)絡(luò)應(yīng)用需求實施全模塊化分區(qū)設(shè)計；依照工作重點和結(jié)構(gòu)分工的整網(wǎng)三層體系結(jié)構(gòu)； 分區(qū)模塊設(shè)計網(wǎng)絡(luò)按照業(yè)務(wù)應(yīng)用需求，劃分以下主要功能區(qū)：? 生產(chǎn)區(qū)? MIS 區(qū)? 生產(chǎn)外聯(lián)區(qū)? 廣域接入?yún)^(qū)? 運行管理區(qū)? OA 接入控制區(qū)各個區(qū)以擴展模塊的形式分別連接到數(shù)據(jù)中心高可靠的核心交換網(wǎng)絡(luò)。運行管理區(qū)設(shè)置一個單獨的物理分區(qū)，提供數(shù)據(jù)中心和全網(wǎng)的管理和監(jiān)控。OA 接入控制區(qū)：由 2 臺匯聚層交換機構(gòu)成。針對上述分析數(shù)據(jù)中心在設(shè)備級的要求如下：? 電信級可靠性網(wǎng)絡(luò)設(shè)備 %，支持熱切換，熱補丁? 采用萬兆技術(shù)，支持高密度萬兆連接? 支持安全聯(lián)動 18? 有效抵御網(wǎng)絡(luò)資源消耗型病毒攻擊（例如 DOS/REDCODE 等）? 全分布式線速處理? 支持多業(yè)務(wù)的深度感知? 支持 MPLS VPN 和 IP V6 功能擴展? 支持外置冗余電源? 大容量冗余交換背板結(jié)構(gòu)? 單機具有高擴展能力針對上述分析本項目的設(shè)備選型推薦列表如下：數(shù)據(jù)中心核心交換機 Quidway S8512數(shù)據(jù)中心匯聚層交換機 Quidway S8512運維管理區(qū)接入交換機 Quidway S8512其他功能區(qū)的接入交換機 Quidway S8512中端路由器 Quidway AR2880網(wǎng)元管理系統(tǒng) Quidview DMG，CAMS(AAA)，SUN/NT 服務(wù)器設(shè)備數(shù)量配置如下：名稱 設(shè)備配置情況核心交換區(qū) 核心層：4 臺 S8512主機生產(chǎn)區(qū) 匯聚：2 臺 S8512，接入：2 臺 S8512開放生產(chǎn)區(qū) 匯聚：2 臺 S8512，接入：4 臺 S8512MIS 服務(wù)區(qū) 匯聚：2 臺 S8512，接入：2 臺 S8512運維管理區(qū) 匯聚：2 臺 S8512，接入：10 臺 S8512外聯(lián)區(qū)(僅合作伙伴接入?yún)^(qū)) 匯聚：2 臺 S8512，接入：2 臺 S8512廣域網(wǎng)接入?yún)^(qū) 匯聚：2 臺 S8512，接入：4 臺 S8512OA 接入控制區(qū) 匯聚：2 臺 S8512網(wǎng)元管理 Quidview DMG，CAMS(AAA)，SUN/NT 服務(wù)器基金國債業(yè)務(wù)接入路由器 兩臺 AR4680 19 S8500 簡介Quidway174。 S8500 系列產(chǎn)品目前最高可以提供 720Gbps 交換容量/428Mpps 包轉(zhuǎn)發(fā)能力，并可平滑升級到 交換容量、857Mpps 轉(zhuǎn)發(fā)能力。 S8500 系列產(chǎn)品提供了靈活的隊列調(diào)度算法，可以同時基于端口和隊列進行設(shè)置，支持 SP、WRR、SP+WRR 三種模式；支持 8 個優(yōu)先級隊列，3 個丟棄優(yōu)先級；支持 WRED 擁塞避免算法和端口流量整形。 AR 28AR